波仔
☁️ 第八章 开始导入云服务准备工作
📄 一句话概括

备份做完了，还得回答一个问题：这些副本放在哪儿？ 答案是一套流传很广的口诀——3-2-1-1-0：三份副本、两种介质、一份异地、一份离线或不可变、恢复验证零错误。前三个数字是硬件故障时代的答案，后两个是勒索软件时代补上的——因为攻击者现在会先找到并删掉你的备份。备份的位置，直接决定了它能挡住哪种灾。

📝 本节和前面几节的关系

它是 8-3 的收尾：上一节说【怎么存】，这一节说【存到哪】。 两者合起来，才是一个完整的备份方案——方式决定效率，位置决定它挡得住什么。

它同时把 2-10 里那个【灾难恢复】的词落到了具体做法上：那一节提醒你要留意它，这一节告诉你它由什么构成。

一、备份的位置，本质是一个【距离】问题

上一节解决了【怎么存数据】，但还有一件同样重要的事没讲：存好的这些副本，放在哪？

这不是一个随意的问题，因为【放在哪】直接决定了【它挡得住哪种灾】。道理很直观：

所以备份位置的每一级【拉远】，都是在给一种更严重的灾害留出活路。 而代价也很直接：离得越远，取回来越慢、成本越高——远程存储要花钱、跨地域传输要带宽、取回来的时间还长。 这就是本节要解决的核心权衡。

二、动手 Demo：3-2-1-1-0 原则与备份位置

看到什么算成功：

==================================================================================================
【Demo 4】备份的位置：灾难恢复
==================================================================================================

  【一】3-2-1-1-0 原则：五个数字各挡一种灾

  数字    要求                          常见做法
  ------------------------------------------------------------------------------------
  3       至少三份副本                  生产 + 本地备份 + 异地备份
  2       两种不同介质                  磁盘阵列 + 对象存储或磁带
  1       一份异地                      同城双机房或云端归档
  1       一份离线或不可变              对象锁（WORM）或气隙磁带
  0       恢复验证零错误                定期自动恢复演练并出报告

  前面三个数字（3-2-1）是硬件故障时代的答案；
  后面两个（1-0）是勒索软件时代新增的 —— 因为攻击者会先删你的备份。

  【二】备份放在哪，决定它挡得住什么

  备份位置            挡得住                        挡不住
  ------------------------------------------------------------------------------------------
  同一台机器          误删单个文件                  机器整台坏掉
  同一个机房          单机故障、误操作              机房断电、火灾
  同城另一机房        机房级故障                    城市级灾害
  异地（数百公里）    城市级灾害                    账号被攻破后的批量删除

  最后一行那条【挡不住】，正是 3-2-1-1-0 里第二个【1】存在的原因：
  位置再远，只要它还能被网络写，就还是能被网络删 —— 所以要留一份【改不动】的。

读结果：

三、五个数字，逐个说清

3——三份副本。 生产一份、再加两份备份。 为什么是 3 不是 2？因为【两份同时坏掉】的概率不低（比如同一批次的硬盘、同一个机柜的电源）。三份让【两次独立故障同时命中】成为极低概率事件。

2——两种不同介质。 磁盘和磁带、本地盘和对象存储。 道理是不让同一个缺陷同时命中两份副本——同一套存储系统出的问题（固件 bug、管理界面误操作），不太可能同时打垮另一种介质上的副本。

1——一份异地。 物理上离开生产机房，最好跨城市。 它挡的是机房级、城市级的灾害（火灾、洪水、大停电）。这一份是【最后的手段】，平时基本不动它。

1——一份离线或不可变。 这一条是 3-2-1-1-0 里最关键的新增项。 它的做法有两种：要么物理离线（拷到磁带后断开连接），要么逻辑不可变（存在支持【对象锁】的存储上，写进去之后在约定期限内任何账号都不能改、不能删）。它的目标只有一个：让勒索软件碰不到它。

0——恢复验证零错误。 每一次备份之后，自动验证【它真的能恢复】。 这是五个数字里最容易被忽略、却最致命的一个——因为一个没验证过的备份，在需要它的那一刻，可能只是一堆无法读取的文件。

四、灾难恢复的等级

把【备份放多远】和【多久能恢复】合起来看，就得到了灾难恢复的分级——档位越高，恢复越快，成本越高：

等级 做法 恢复时间 适合
只做备份 数据有副本，出事重建环境 数天 非核心、能停的系统
暖备 备机待机，定期同步 数小时 中型企业的核心业务
热备 备机同步运行，随时接 分钟级 交易、支付类核心系统
双活 / 多活 多处同时服务 近零 停不起的业务

这张表和 8-2 那张主备形态表是同一件事的两个视角：8-2 讲的是【机器怎么热】，这张表讲的是【整套方案恢复得快不快】。 它们对齐的地方，正是这一章的一个核心观点——备份和容灾，本来就是一体两面。

还有一条经验：恢复能力的【短板】，往往不在最贵的那一环，而在最容易被忽略的【演练】上。 一个纸面上是【热备】的方案，如果从没演练过，实际恢复能力可能连【暖备】都达不到。

五、2026 现状

① 不可变存储从【加分项】变成了【准入项】。 2026 年，无论是行业合规还是采购要求，几乎都会明确问一句【你的备份有没有不可变副本】。没有这一项，方案在评审阶段就可能被否。

② 云上的【异地】门槛在下降。 过去做异地备份要自建第二个机房，成本极高；现在用跨区域的对象存储就能实现——这让人人都能做到【一份异地】，也让 3-2-1 从大企业专属变成了普遍实践。

③ 备份数据的【体积】成了新的难题。 数据量涨得太快，很多企业发现【异地备份的传输和存储费用】本身就很可观。于是分级保留（近期的留得多、久远的留得少）和只备份变化部分成了标配——这正是 8-3 讲的增量与差异，在这里又派上了用场。

30 秒实验

清点一下你手上最重要的一份数据（工作文件、照片、代码都行），做三件事：

  1. 数一数它现在共有几份副本（本机一份、移动硬盘一份、云盘一份……）。
  2. 这些副本里，有没有一份是【异地】的？
  3. 有没有一份是【删不掉】的（比如网盘的回收站还不算——因为它还是你自己能删的）？

做完你通常会发现一个落差：副本数量看着不少，但【异地】和【不可变】这两条往往一条都没满足。这恰恰是 3-2-1 和 3-2-1-1-0 的差距所在——加两条很简单，但大多数人从没想过要加。

常见误区

  1. 错误：备份多存几份就够了。——纠正：光有【数量】是不够的，位置和介质同样重要。三份都放在同一个机房，一次断电就能全毁——这等于只有一份。 所以 3-2-1-1-0 里的【2】（不同介质）和【1】（异地），说的都是不能让多份副本【同生共死】。数量只是第一步，【分散】才是关键。

  2. 错误：把备份存到云上，就自动满足异地要求了。——纠正：要看云上的副本是不是真的【分开了】。如果你的云盘账号被盗，云上的备份也会跟着被删——它满足了【异地】，却不满足【不可变或离线】。所以云备份只是解决了【距离】这一半问题，另一半要靠【对象锁】【独立账号】这类手段来保证它删不掉。

  3. 错误：备份只要建好了，就一直有效。——纠正：备份体系是【活的】，会随着环境变化而失效。业务系统换了、数据量涨了、备份脚本里的路径过期了、存储容量满了——这些都会让备份在不知不觉中停止工作。所以备份系统必须纳入监控（这正是第五章 5-7 讲的【监控】要覆盖的东西），并且定期做恢复验证。

  4. 错误：数据不重要，备份这事可以以后再说。——纠正：这个判断通常在数据丢了之后才会改变。而且【重要】和【不重要】往往不是数据本身的性质，而是【它有没有别的副本】——一份只有单一副本的数据，无论内容是什么，都是脆弱的。所以更实际的做法不是逐份判断重要性，而是先建立一个【默认就会备份】的机制，再把少数真的不值得备份的东西排除出去。

自测三问（点开对答案） 1. 为什么 3-2-1 这条老口诀，在勒索软件时代【不够用了】？ —— 因为**它假设的敌人是【硬件故障】和【物理灾害】**——**这两类敌人不会【主动寻找】你的备份**。而勒索软件不一样：**它进到系统里之后，会专门去找备份系统、找备份的账号密码，先把你所有的退路删掉，再动手加密数据。** Demo 第二段的最后一行正是这个意思——**备份放得再远，只要它能被网络访问，攻击者就能用合法凭据删掉它。** 所以**新增的【1】（离线或不可变）要解决的，不是【距离】问题，而是【权限】问题。** 2. 为什么【一份离线或不可变的副本】，比【再加一份异地副本】更值得优先做？ —— 因为**它们挡的是不同的东西，而后者挡不了最凶的那种**。**再加一份异地副本，挡的还是硬件和物理灾害**——**但这两类风险，前几份副本已经覆盖了。** 而**离线 / 不可变副本挡的是【主动攻击】**——**这是其它所有副本都挡不住的那一类。** 换句话说：**当【突发物理灾害】和【勒索软件】同时存在时，多一份异地副本是在加固已经比较厚的防线，而加一份不可变副本是在补最薄的那块板。** 这正是 3-2-1-1-0 把第二个【1】单独列出来的原因。 3. Demo 第二段的表里，为什么【异地备份】这一行也有【挡不住】的东西？ —— 因为**它的优势只在【物理距离】一个维度上**。**距离能隔开地震、洪水、断电 —— 但它隔不开【网络】**。**只要这份备份还挂在网络上、还能被某个账号写，它就和生产数据共享着同一类风险：被同一个被攻破的凭据删掉。** 所以**这张表真正想说的不是【哪种方案好】，而是【每一种位置都只挡住它擅长的那一类灾】**。**完整的方案不是选一行，而是把几行叠起来**——**这也正是 3、2、1、1、0 五个数字要同时满足的道理。**

相关笔记